Una CA gestiona una jerarquía: una clave raíz fuera de línea, una o varias claves intermedias en línea guardadas en HSM, y los sistemas de validación, emisión, revocación (CRL y, opcionalmente, OCSP) y registro que las rodean. Sus reglas se recogen en una política de certificados y una declaración de prácticas de certificación (con el formato del RFC 3647) y se comprueban en auditorías anuales (WebTrust o ETSI).
Las CA de confianza pública son aquellas cuyas raíces están en los almacenes raíz de los navegadores y los sistemas operativos (Mozilla, Chrome, Apple, Microsoft). Deben cumplir los Baseline Requirements del CA/Browser Forum y la política de cada programa raíz, publicar todos los certificados TLS en Certificate Transparency y responder públicamente a los incidentes. Los programas raíz retiran a las CA que incumplen: DigiNotar en 2011, WoSign y StartCom entre 2016 y 2017, la PKI de Symantec entre 2017 y 2018 y las raíces TLS de Entrust, en las que Chrome 131 dejó de confiar para los certificados cuyo SCT más antiguo tiene fecha posterior al 11 de noviembre de 2024.
Las CA privadas (para servicios internos, mTLS, dispositivos, VPN) solo son de confianza allí donde su raíz está instalada y no están sujetas a los límites públicos de vida útil; se gestionan con herramientas como step-ca, Vault PKI, AWS Private CA y el comando ca de OpenSSL.